AppArmor (Ubuntu 9.10)

[emmebì]

Sto dando un'occhiata alla funzionalità di AppArmor su Ubuntu 9.10; in particolare per ciò che riguarda Firefox.

Noto con disappunto che il profilo di sicurezza di Firefox è disabilitato per default (come da documentazione); vabbè; lo abilito e lo pongo in enforce mode.

Guardo poi le regole del profilo. Ne riporto uno stralcio:

  # allow read and write to all user's files, except explicitly denied ones
  @{HOME}/ r,
  @{HOME}/** rw,
  @{HOME}/Desktop/** rw,
  @{HOME}/Firefox_wallpaper* rw,

Questo cosa vuol dire?
Che se mi bucano Firefox, esso può leggere e scrivere tutti i file della mia HOME (quelli explicitly denied sono pochissimi).

Ok, allora arrivo alla domanda: così com'è, a che CAVOLO serve questo AppArmor su Ubuntu???

[bereshit]

è disabilitato di default perchè probabilmente era imprudente caricare delle regole restrittive di default

alcuni utenti avrebbero avuto problemi e tutti a dire che sistema pacco

han caricato regole semplice e non di default per fare le cose bene e con calma...

ricordo fedora 6 primaa d aver introdotto selinux.. non mi faceva installare i driver nvidia...

probabilmente sul profilo d firefox ci hanno appena cominciato a lavorare .. non hanno avuto tempo di finirlo.. e ne hanno messo una bozza disattivata di default.. come segno per chi magari volessi smanettarci un pò.. probabilmente nella prossima release lo sistemeranno bene..

[emmebì]

Forse hai ragione, e col tempo servirà a qualcosa.

Però mi pare che qui si sia indietro rispetto a IE8 ed i suoi concetti di modalità protetta... (rabbrividisco mentre scrivo, ma mi pare così ad onor del vero....)

[bereshit]

http://windows.microsoft.com/it-IT/w...tected-mode-do

se intendi questa non è che sia un granchè...
semplicemente ti avvisa se un sito vuole installare qualcosa sul pc

(lo fa anche FF di default)

e ti avvisa se un plugin esterno a explorer sta eseguendo codice..

ma questo lo fa anche FF di default.. vedi es quando devi eseguire applet java.. e in ogni caso èi permessi dei plugin esterni di un browser in una distro linux sono settati in maniera noncerto superiore a quello del browser...

perchè tutta la distro e gestita in maniera organica...

quella funzione è utile solo ad explorer perchè eventuali plugin esterni possono essere non MS e chissà che cavolo di settaggi hanno... perciò l'hanno introdotta..

insomma non fa nulla di strano o di fantastico.. solo il suo dovere.. poi l'han chiamata modalità protetta a scopo pubblicitario...


apparmor è molto di più.. nel caso riuscissero ad eseguire del codice malevolo in firefox sfruttando un bug.. ci si troverebbe ingabbiati in determinate cartelle (che dovrebbero essere in teoria solo quelle strettamente necessarie al browser) e quindi nemmeno in grad di agire al livello di home

[emmebì]

Originariamente inviato da bereshit
se intendi questa non è che sia un granchè...
semplicemente ti avvisa se un sito vuole installare qualcosa sul pc
e ti avvisa se un plugin esterno a explorer sta eseguendo codice..

e in ogni caso èi permessi dei plugin esterni di un browser in una distro linux sono settati in maniera noncerto superiore a quello del browser...

"Purtroppo", non è così.
La modalità protetta di IE su Vista impone al browser di girare con privilegi (molto) minori dello stesso utente che l'ha lanciato, inibendo il browser non solo dall'installare un qualche malware (qui bastano i normali permessi di esecuzione di un utente non root), ma anche di leggere/scrivere file nella HOME.

insomma non fa nulla di strano o di fantastico.. solo il suo dovere.. poi l'han chiamata modalità protetta a scopo pubblicitario...

Mica tanto...

apparmor è molto di più.. nel caso riuscissero ad eseguire del codice malevolo in firefox sfruttando un bug.. ci si troverebbe ingabbiati in determinate cartelle (che dovrebbero essere in teoria solo quelle strettamente necessarie al browser) e quindi nemmeno in grad di agire al livello di home

Appunto, questo è ciò che fa IE.
Ed in realtà, questo, lo fa meglio, perchè non inibisce il funzionamento del browser se ad esempio voglio scrivere su disco (tramite ActiveX) (come farebbe AppArmor settato bene), ma ridireziona a sotto cartelle specifiche nella HOME.
In questo modo hai salvato capra (il sistema e la HOME) e cavoli (IE funziona lo stesso*).

* e ti assicuro che avendo dovuto implementare con ActiveX ciò che fa ad es. Google Gears, è stato un BENE!

NB: spero nelle risposte si evitino ideologie contro IE. Io ODIO IE, non lo uso, lo sconsiglio a tutti, sempre e comunque ed è altrimenti sempre pessimo. In questo caso mi pare però abbia vinto...

[emmebì]

Ah, http://msdn.microsoft.com/en-us/libr...8VS.85%29.aspx

[bereshit]

hai ragione dalla pagina che avevo trovato.. non si capiva..

ho letto il tuo ultimo link.. in effetti fa le stesse cose che dovrebbe fare un apparmor ben settato.. cioè limitare l'accesso solo a determinate cartelle..

si in effetti ubuntu è indietro.. (anche rispetto ad altre distro, es mandriva che cmq esegue più controlli di sicurezza)

probabilmente perchè cmq la sicurezza almeno per ora in ambito desktop non è pressante...

speriamo però che si sbrighino... è giusto che ci sia una cosa del genere....

speriamo l'implementino nella prossima..

[bereshit]

Firefox 3.6 Beta 4 corregge oltre un centinaio di bug e introduce quale novità più importante il supporto all'API File di HTML5, che permette a siti e applicazioni web di accedere ai file locali selezionati dall'utente. Un sito dedicato alle foto, ad esempio, può ora lavorare direttamente sulle immagini archiviate nell'hard disk dell'utente: per ottimizzare le proprie foto, dunque, l'utente non sarà più costretto a farne l'upload sul server remoto. L'implementazione del supporto ai file locali è destinato ad assottigliare ancor di più la linea di confine che separa le applicazioni web da quelle desktop, favorendo il nascere di web application ancor più potenti e comode da usare ma nondimeno basate sui soli standard aperti.

si forse èproprio meglio che si sbrighino....

[mcz]

Una domanda.
Ma è proprio necessaria una protezione del genere?
Quali sono gli effettivi pericoli?
E quanto sono probabili e che conseguenze potrebbero avere?

[bereshit]

bug firefox .. si può eseguire del codice con i privilegi con cui è lanciato firefox....

quindi fai te.. se non sarebbe meglio chiuderlo in una bella gabbietta...

il concetto è un ulteriore livello di permessi ad hoc per i singoli programmi..

perchè FF deve avere accesso a tutta la home?

è un giocare in anticipo nel caso di exploit...